Lỗ hổng PHP nghiêm trọng 2026: Điều gì đang xảy ra với các website?
Ngày 21/10/2026, đội ngũ phát triển PHP phát hành bản cập nhật khẩn cấp nhằm khắc phục hai lỗ hổng bảo mật nghiêm trọng, có khả năng cho phép tin tặc thực thi mã từ xa mà không cần đăng nhập.
Sự việc gây chú ý vì PHP là công nghệ nền tảng của nhiều website và ứng dụng web, bao gồm các hệ thống sử dụng WordPress, Laravel và nhiều nền tảng khác.
Lỗ hổng PHP nghiêm trọng đến mức nào?
Hai lỗ hổng được công bố là CVE-2026-109618 và CVE-2026-109619, cùng đạt 9,2/10 điểm theo hệ thống đánh giá mức độ nghiêm trọng CVSS 4.0.
Chúng còn được cộng đồng bảo mật gọi chung là PHP2Shell.
Vấn đề nằm trong chính bộ máy xử lý của PHP, không nhất thiết xuất phát từ lỗi lập trình website.
Cụ thể:
- CVE-2026-109618: Liên quan đến việc xử lý khi PHP gặp tình trạng hết bộ nhớ, có thể dẫn đến lỗi quản lý bộ nhớ.
- CVE-2026-109619: Liên quan đến việc PHP tiếp tục tham chiếu dữ liệu bộ nhớ đã được giải phóng.
Trong những điều kiện nhất định, tin tặc có thể lợi dụng các lỗi này để chạy mã độc trên máy chủ mà không cần xác thực.
Website có thể chịu những ảnh hưởng gì?
Nếu bị khai thác thành công, hệ thống có nguy cơ bị:
- Thực thi mã trái phép trên máy chủ.
- Rò rỉ thông tin nhạy cảm như khóa API hoặc dữ liệu xác thực.
- Can thiệp vào dữ liệu và hoạt động của ứng dụng.
- Gián đoạn dịch vụ hoặc mất quyền kiểm soát một phần hệ thống.
Tuy nhiên, không có nghĩa mọi website sử dụng PHP đều đã bị tấn công. Khả năng khai thác phụ thuộc vào phiên bản, cấu hình máy chủ và điều kiện triển khai.
Theo cập nhật ngày 23/10/2026 từ Trung tâm An ninh mạng Quốc gia Hà Lan (NCSC-NL), việc khai thác trên thực tế phức tạp hơn đánh giá ban đầu, và nguy cơ bị khai thác trên diện rộng được nhận định thấp hơn dự kiến. Dù vậy, cơ quan này vẫn khuyến cáo cập nhật ngay.
Những phiên bản PHP nào bị ảnh hưởng?
Theo thông báo chính thức, các nhánh PHP sau cần được cập nhật lên phiên bản đã vá:
| Nhánh PHP | Phiên bản đã vá |
|---|---|
| PHP 8.5 | 8.5.12 trở lên |
| PHP 8.4 | 8.4.27 trở lên |
| PHP 8.3 | 8.3.36 trở lên |
| PHP 8.2 | 8.2.35 trở lên |
| PHP 8.1 trở xuống | Cần nâng cấp hoặc xác minh bản vá từ nhà cung cấp |
Các hệ thống sử dụng PHP-FPM, Apache mod_php, php-cgi, FrankenPHP hoặc LiteSpeed đều cần được kiểm tra. Trong đó, PHP đánh giá cấu hình Apache mod_php có mức rủi ro cao nhất.
Đối với website WordPress hoặc Laravel, việc chỉ cập nhật plugin, theme hay mã nguồn ứng dụng không đủ để khắc phục lỗi nằm trong PHP runtime.
Chủ website cần làm gì để bảo vệ hệ thống?
Nếu website đang hoạt động trên PHP, bạn nên thực hiện các bước sau.
1. Kiểm tra phiên bản PHP đang sử dụng
Đối với người quản trị máy chủ, có thể kiểm tra bằng lệnh:
php -vLưu ý, lệnh này hiển thị phiên bản PHP của môi trường dòng lệnh (CLI), có thể khác phiên bản PHP mà website đang chạy.
Nếu sử dụng hosting có cPanel, Plesk hoặc bảng điều khiển tương tự, hãy kiểm tra phiên bản PHP của chính website đó.
2. Cập nhật bản vá bảo mật
Nếu PHP đang ở phiên bản bị ảnh hưởng, hãy lên kế hoạch cập nhật ngay lên bản đã được vá.
Trước khi cập nhật trên website đang vận hành, cần sao lưu dữ liệu, kiểm tra khả năng tương thích và chuẩn bị phương án khôi phục nếu phát sinh lỗi.
Với máy chủ Linux sử dụng gói PHP do hệ điều hành hoặc nhà cung cấp bảo trì, hãy kiểm tra bản vá của nhà cung cấp. Một số bản vá được đưa ngược vào phiên bản cũ (backport), nên không thể chỉ nhìn số phiên bản để kết luận hệ thống chưa an toàn.
3. Kiểm tra hoạt động website sau cập nhật
Sau khi hoàn tất, cần kiểm tra những chức năng quan trọng như đăng nhập, đặt hàng, thanh toán, gửi biểu mẫu và các tác vụ tự động.
Đồng thời, nên rà soát log hệ thống để phát hiện dấu hiệu bất thường. Nếu nghi ngờ máy chủ đã bị xâm nhập, việc cập nhật PHP phải đi kèm kiểm tra sự cố bảo mật.
Nếu chưa thể vá ngay, quản trị viên cần đánh giá khả năng hạn chế truy cập hoặc tạm cô lập các hệ thống có nguy cơ cao. Những biện pháp giảm thiểu tạm thời không thay thế được bản vá chính thức.
Diễn biến mới nhất của sự cố PHP
Ngoài hai lỗ hổng nghiêm trọng được công bố ngày 21/10, đội ngũ PHP tiếp tục đưa ra các thông báo bảo mật:
- 23/10/2026: Công bố thêm CVE-2026-115560, một nguy cơ thực thi mã từ xa chỉ xuất hiện trong tổ hợp cấu hình ứng dụng không phổ biến. PHP khuyến nghị tạm tắt
session.upload_progress.enabledcho đến bản vá tiếp theo. - 26/10/2026: Phát hành lại các gói PHP dành cho Windows với hậu tố
-1, cập nhật thư viện Brotli nhằm khắc phục CVE-2026-111497. Đây là vấn đề ở thành phần phụ thuộc, khác với hai lỗ hổng PHP2Shell ban đầu.
Những cập nhật này cho thấy việc theo dõi bảo mật không nên dừng lại sau một lần nâng cấp.
Kết luận
Sự cố PHP tháng 10/2026 là lời nhắc nhở về tầm quan trọng của việc bảo trì và cập nhật website định kỳ.
Dù chưa có cơ sở để kết luận tất cả website PHP đều gặp nguy hiểm trực tiếp, hai lỗ hổng nghiêm trọng đã được xác nhận và có bản vá chính thức. Chủ website nên kiểm tra phiên bản PHP, cập nhật các thành phần liên quan và rà soát hệ thống càng sớm càng tốt.
Website của bạn đã được kiểm tra bảo mật chưa? Nếu không có đội ngũ kỹ thuật nội bộ, hãy liên hệ đơn vị phát triển hoặc quản trị website để kiểm tra phiên bản PHP và hỗ trợ cập nhật an toàn.
Nguồn tham khảo chính thức
- PHP.net – Thông báo bảo mật và các phiên bản mới
- CERT-EU – Cảnh báo các lỗ hổng PHP nghiêm trọng
- NCSC-NL – Cập nhật đánh giá nguy cơ khai thác PHP
